Django模板中Markdown转换HTML内容的安全渲染指南

<h1>CSS</h1> <p>CSS is a language that can be used to add style to an <a href="/wiki/HTML">HTML</a> page.</p>

<h1>CSS</h1> <p>CSS is a language that can be used to add style to an <a href="/wiki/HTML">HTML</a> page.</p><p><span>立即学习</span>“<a href="https://pan.quark.cn/s/cb6835dc7db1" style="text-decoration: underline !important; color: blue; font-weight: bolder;" rel="nofollow" target="_blank">前端免费学习笔记（深入）</a>”；</p>

{% block body %}
<div class="entry-container">
    <div class="left">
        {{ entry }} {# 这里会触发自动转义 #}
    </div>
    <div class="right">
        <a href="{% url 'edit' %}" class="edit-btn">
            <button class="edit">EDIT</button>
        </a>
    </div>
</div>
{% endblock %}

{% block body %}
<div class="entry-container">
    <div class="left">
        {{ entry | safe }} {# 使用 |safe 过滤器禁用自动转义 #}
    </div>
    <div class="right">
        <a href="{% url 'edit' %}" class="edit-btn">
            <button class="edit">EDIT</button>
        </a>
    </div>
</div>
{% endblock %}

import markdown
from . import util
from django.shortcuts import render

def entry(request, name):
    # 从util获取Markdown格式的条目内容
    markdown_content = util.get_entry(name)

    if markdown_content is not None:
        # 将Markdown内容转换为HTML
        converted_html = convert(markdown_content)
        context = {
            'entry': converted_html, # 此时 entry 变量中是HTML字符串
            'name': name
        }
        # 全局变量 current_entry 的使用在此处并非最佳实践，
        # 通常应避免在视图函数中使用全局变量来存储请求相关的数据。
        global current_entry 
        current_entry = name 
        return render(request, 'encyclopedia/entry.html', context)
    else:
        return render(request, "encyclopedia/404.html")

def convert(markdown_text):
    """
    使用Python-Markdown库将Markdown文本转换为HTML。
    """
    return markdown.markdown(markdown_text)

from django.core.files.storage import default_storage

def get_entry(title):
    """
    根据标题检索百科全书条目。如果不存在此类条目，则返回None。
    """
    try:
        f = default_storage.open(f"entries/{title}.md")
        return f.read().decode("utf-8")
    except FileNotFoundError:
        return None